Basis Virtual Security 4.1: безопасность кластеров Kubernetes и реестров образов

Представляем новую версию нашего решения для защиты виртуальных сред Basis Virtual Security 4.1. Акцент в релизе был сделан на безопасности средств контейнеризации: теперь администратор может работать с кластерами Kubernetes, управлять политиками и правилами безопасности, проверять реестры и образы контейнеров.

8 октября в 11.00 мы проведем онлайн-демонстрацию возможностей продукта, подробности в посте:

Автоматический контроль кластеров Kubernetes

Кластер Kubernetes можно добавить в Basis Virtual Security в качестве отдельного объекта защиты. Для подключения используется аутентификация на основе сертификатов X.509 — общепринятого способа подтверждения подлинности систем при подключении друг к другу. После регистрации продукт самостоятельно отслеживает состояние, метаданные и спецификации базовых компонентов кластера (узлов и подов) и проверяет соответствие их конфигурации эталонному состоянию. Это даёт возможность администратору сразу увидеть несанкционированное модификация в инфраструктуре, не проверяя ее вручную. Предусмотрена и возможность принять текущее состояние конфигурации в качестве нового эталона, например, после планового обновления.

Правила контроля задаются политиками целостности, которые администратор назначает на узлы и поды, определяя, какие именно части конфигурации нужно отслеживать. Отдельно в продукте реализовано управление политиками Kyverno: разрабатывать, редактировать, удалять и следить за их статусом теперь можно прямо из интерфейса Basis Virtual Security.

Проверка реестров и образов контейнеров

В Basis Virtual Security 4.1 можно зарегистрировать приватные и публичные реестры образов контейнеров с поддержкой основных типов аутентификации. Для реестров, как и для кластеров Kubernetes, предусмотрена процесс первичной инициализации. Списки образов и тегов периодически синхронизируются с реестром, а сами образы сканируются на наличие уязвимостей по гибкому расписанию, с возможностью задать шаблоны тегов, включая простые регулярные выражения. Результаты проверки отображаются прямо в интерфейсе продукта.

Реализована и проверка цифровых подписей образов: для этого добавлена загрузка доверенных CA-сертификатов и управление ими. Это позволяет администратору убедиться, что используемый образ контейнера не был подменен или изменен посторонним, и выстроить проверку в соответствии с принятой в организации схемой доверия.

Управление защитой из одного окна

Для работы с контейнерной виртуализацией в интерфейс Basis Virtual Security 4.1 добавлен раздел «Контейнеризация», который объединяет управление защитой кластеров, подов и узлов, политиками целостности и политиками Kyverno. Вся безопасность контейнерной инфраструктуры видна администратору и настраивается из одного окна.